Ihr eigener Kontrollserver.
Die Karte ist das, was es wert ist, gehalten zu werden.

Es gibt drei ehrliche Antworten auf „Ich möchte, dass meine Maschinen einander privat erreichen“, und nur eine davon ist dieser Leitfaden. Reines WireGuard ist die kleinste: ein Kernelmodul, eine Konfigurationsdatei pro Peer, kein Daemon außer dem Interface, nichts aktuell zu halten außer dem Betriebssystem. Wenn Ihre Geräte Server mit festen Adressen sind und Sie sie an einer Hand abzählen können, hören Sie hier auf und lesen Sie stattdessen den WireGuard-Leitfaden. Sie enden mit weniger Software und einer kürzeren Liste von Dingen, die kaputtgehen können.

Tailscale ist die größte Lösung: darunter dasselbe WireGuard, dazu ein Koordinationsdienst, NAT-Traversal, das hinter fast allem funktioniert, eine Relay-Flotte auf mehreren Kontinenten, eine Weboberfläche, Single Sign-on und ein Support-Vertrag. Es ist wirklich exzellente Software, und die kostenlose Stufe deckt einen Haushalt bequem ab. Der Preis ist kein Geld — es ist, dass die Karte jedes Geräts, das Sie besitzen, und die Aufzeichnung, von wo aus sich jedes einzelne verbindet, in der Datenbank eines Unternehmens liegt.

Headscale ist die dritte Antwort, und sie ist enger gefasst als beide anderen: eine Open-Source-Neuimplementierung des Koordinationsservers, von Ihnen selbst betrieben, angesprochen vom selben offiziellen Client. Sie behalten die Automatisierung und das NAT-Traversal; Sie übernehmen dafür einen kleinen Dienst zum Betreiben, einen unvollständigen Funktionsumfang und Upgrades, die man lesen muss. Niemand sollte behaupten, das sei umsonst. Es kauft genau eine Sache, und das ist die Sache, um die es dieser Seite geht: Niemand sonst hält die Karte.

Noch etwas, das Sie jetzt statt später entscheiden sollten, weil es beeinflusst, was Sie installieren: ob dieses Netzwerk nur für Sie ist oder ob noch andere Personen beitreten werden. Ein Tailnet für eine Person kann intern weit offenstehen, ohne dass etwas Schlimmes passiert. Ein Tailnet mit einem Kollegen, einem Auftragnehmer oder einem Familienmitglied darauf braucht schriftliche Zugriffsregeln ab der ersten Woche — Schritt 05 — und es braucht getrennte Nutzerkonten, statt dass sich alle einen Login teilen. Das im Voraus zu entscheiden kostet einen Absatz; es nachträglich einzurichten kostet einen Nachmittag.

Headscale und Caddy, und sonst nichts. Headscale lauscht auf einfachem HTTP innerhalb des Docker-Netzwerks; Caddy terminiert TLS, bezieht das Zertifikat beim ersten Boot und erneuert es, ohne dass man fragen muss. Der Metrics-Listener bleibt auf localhost, weil er eine interne Debug-Oberfläche ist und keine öffentliche.

Eine Regel vor der Datei: Fixieren Sie das Image auf eine exakte Version. Headscale ist Software vor Version 1.0, die schon mehr als einmal über Minor-Releases hinweg Konfigurationsschlüssel und CLI-Subbefehle umbenannt hat. Ein nicht fixierter Tag macht aus einem routinemäßigen Container-Neustart einen Ausfall bei einem Dienst, dessen Aufgabe es ist, Sie alles andere erreichen zu lassen.

/srv/headscale/docker-compose.yml

services:
  headscale:
    image: docker.io/headscale/headscale:0.26            # pin it; never :latest
    container_name: headscale
    command: serve
    volumes:
      - ./config:/etc/headscale
      - ./data:/var/lib/headscale
    ports:
      - "3478:3478/udp"                                  # STUN, for your own DERP
    restart: unless-stopped

  caddy:
    image: caddy:2-alpine
    container_name: caddy
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
      - caddy_data:/data
    restart: unless-stopped

volumes:
  caddy_data:

/srv/headscale/Caddyfile

vpn.example.com {
    reverse_proxy headscale:8080
}

Das ist die gesamte Proxy-Konfiguration. Caddy spricht HTTP/2 und hebt langlebige Verbindungen an, ohne dass man es ihm sagen muss — das ist hier wichtig, weil jeder Client eine offen hält, um Karten-Updates zu empfangen. Nehmen Sie die Beispielkonfigurationsdatei, die mit der von Ihnen fixierten Version mitgeliefert wird, und bearbeiten Sie sie, statt eine von Grund auf neu zu schreiben — die Datei ist lang, das meiste davon sind sinnvolle Standardwerte, und die Schlüssel, auf die es ankommt, sind diese:

/srv/headscale/config/config.yaml — the lines that matter

server_url: https://vpn.example.com          # exactly what clients will dial
listen_addr: 0.0.0.0:8080                    # inside the Docker network only
metrics_listen_addr: 127.0.0.1:9090          # debug surface, keep it local

prefixes:
  v4: 100.64.0.0/10
  v6: fd7a:115c:a1e0::/48

noise:
  private_key_path: /var/lib/headscale/noise_private.key

database:
  type: sqlite                               # postgres for a large fleet
  sqlite:
    path: /var/lib/headscale/db.sqlite

dns:
  magic_dns: true
  base_domain: ts.example.com                # NOT a parent or child of server_url
  nameservers:
    global:
      - 1.1.1.1                              # replaced by your own in step 05

Starten Sie ihn, und lesen Sie danach das Log, statt zu raten. Ein erster Boot, der kein Zertifikat beziehen kann oder das DNS-Suffix ablehnt, weil es sich mit dem Server-Hostnamen überschneidet, sagt das klar und deutlich — und hält dann an.

docker compose up -d
docker compose logs -f headscale

# From your laptop — a control server that is up answers this:
curl -s https://vpn.example.com/health

Der erste Boot erzeugt das private Schlüsselmaterial in /srv/headscale/data. Kopieren Sie es jetzt an einen sicheren Ort, bevor sich ein einziges Gerät registriert, und noch einmal nach der ersten Registrierung: Geht dieser Schlüssel verloren, weist jedes Gerät den Server zurück, dem es bisher vertraut hat, und die einzige Reparatur ist, alle von Hand neu zu registrieren. Schritt 06 macht aus dieser Kopie ein echtes Backup.

Ein Tailnet, in dem jedes Gerät jedes andere erreicht, ist bereits nützlich. Drei Ergänzungen machen daraus ein Netzwerk statt nur einer Ansammlung von Tunneln, und alle drei teilen eine Eigenschaft, über die man leicht stolpert: Der Client kündigt eine Fähigkeit an, und der Server muss sie genehmigen. Eine Route, die angekündigt, aber nicht genehmigt wurde, existiert schlicht nicht — und zwar stillschweigend; das Symptom ist, dass Sie den Router anpingen können, aber nichts dahinter.

Ein Subnetzrouter — ein ganzes LAN ins Tailnet bringen. Eine Maschine im Heim- oder Büronetzwerk kündigt dessen Adressbereich an; jedes andere Gerät erreicht dann die Drucker, das NAS und die Verwaltungsoberflächen dahinter, ohne dass dort sonst irgendetwas installiert werden muss. Aktivieren Sie zuerst die Weiterleitung im Kernel, sonst bleiben die Pakete ohne Fehlermeldung am Router hängen.

# On the machine that sits inside the LAN:
echo 'net.ipv4.ip_forward = 1'          | sudo tee /etc/sysctl.d/99-ts.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-ts.conf
sudo sysctl -p /etc/sysctl.d/99-ts.conf

sudo tailscale up --login-server https://vpn.example.com \
  --advertise-routes=192.168.1.0/24 --accept-routes

# On the control server — approve it, or it does not exist.
# The subcommand moved between releases; check `hs nodes --help` first.
hs nodes list
hs nodes approve-routes --identifier 3 --routes 192.168.1.0/24

Ein Exit-Node — alles über den VPS nach außen leiten. Derselbe Mechanismus mit einer weiter gefassten Route: Ein Gerät, das sich selbst als Exit-Node ankündigt, bietet an, die gesamte Internetverbindung eines anderen Geräts zu tragen. In einem nicht vertrauenswürdigen Café- oder Hotelnetzwerk ist genau das gewünscht, und es ist das Nächste, was dieser Leitfaden einem persönlichen VPN zu bieten hat.

# On the VPS that will do the exiting (forwarding must be on, as above):
sudo tailscale up --login-server https://vpn.example.com --advertise-exit-node

# Approve it on the control server, then on the laptop:
tailscale set --exit-node=100.64.0.1 --exit-node-allow-lan-access
tailscale set --exit-node=                    # turn it off again

Ein Exit-Node ist kein kommerzielles VPN und sollte Ihnen auch nicht als solches verkauft werden — nicht einmal von Ihnen selbst. Seine Adresse gehört Ihnen allein und ist stabil, was hervorragend gegen das Café-WLAN wirkt und nutzlos gegen langfristige Korrelation über mehrere Seiten hinweg — der Kompromiss wird im Grundlagen-Leitfaden ausführlich erklärt. Beachten Sie auch, dass Sie den Exit-Node auf einem zweiten, günstigeren VPS betreiben und den Kontrollserver dadurch vollständig von weitergeleitetem Traffic freihalten können.

Zugriffsregeln — schreiben Sie sie, bevor die zweite Person beitritt. Die Standardrichtlinie lautet „alles erlauben“, was für ein Tailnet mit einer Person richtig ist und falsch in dem Moment, in dem jemand anderes darauf ist. Die Richtlinie ist ein kleines HuJSON-Dokument: Gruppen von Nutzern, Tags für Maschinen und eine Liste von Regeln, die festlegen, welche Quellen welche Ziele auf welchen Ports erreichen dürfen. Richten Sie die Konfiguration auf die Datei aus, halten Sie die Datei in Versionskontrolle, und laden Sie nach jeder Änderung neu.

{
  "groups": {
    "group:admin":     ["alice"],
    "group:contractor":["bob"]
  },
  "tagOwners": {
    "tag:server": ["group:admin"],
    "tag:exit":   ["group:admin"]
  },
  "acls": [
    // Admins reach everything.
    { "action": "accept", "src": ["group:admin"], "dst": ["*:*"] },

    // The contractor reaches one machine, on two ports, and nothing else.
    { "action": "accept", "src": ["group:contractor"],
      "dst": ["tag:server:22,443"] }
  ],
  "autoApprovers": {
    "routes":   { "192.168.1.0/24": ["tag:server"] },
    "exitNode": ["tag:exit"]
  }
}

Zwei Anmerkungen zu dieser Datei. Die Richtliniensprache stammt von Tailscale, und Headscale implementiert davon eine große und wachsende Teilmenge, nicht die Gesamtheit — prüfen Sie die Dokumentation für Ihre Version, bevor Sie sich auf eine exotische Regel verlassen. Und wo die Richtlinie lebt, hat sich verschoben: Ältere Releases nannten einen Pfad in der Top-Level-Konfiguration, neuere gruppieren sie unter einem Policy-Abschnitt mit einem Modus, der die Regeln auch in der Datenbank halten kann. Beides ist dokumentiert; entscheidend ist, was Ihre fixierte Version mitliefert.

MagicDNS — kurze Namen, und der eigene Resolver überall. Mit aktiviertem MagicDNS antwortet jedes Gerät auf einen kurzen Namen innerhalb des in Schritt 02 gewählten Suffixes, sodass ssh nas von überall aus funktioniert, ganz ohne Hosts-Datei. Die zweite Hälfte ist die interessante: Der Kontrollserver schiebt außerdem eine Nameserver-Liste an jeden Client, was bedeutet, dass der Resolver, den Sie im Leitfaden zum privaten DNS-Resolver gebaut haben, Ihr Telefon auch bei mobilen Daten bedienen kann — mit Filterung, Caching und ohne jede Protokollierung —, während er auf einer Tailnet-Adresse lauscht, die vom Internet aus überhaupt nicht erreichbar ist.

dns:
  magic_dns: true
  base_domain: ts.example.com
  override_local_dns: true          # beat whatever DHCP handed the device
  nameservers:
    global:
      - 100.64.0.5                  # your resolver, on the tailnet

Die Kontrollebene selbst zu hosten ist eine echte, konkrete Verbesserung, und es ist kein Verschwindetrick. Fünf Dinge bleiben wahr, nachdem alles oben Beschriebene erledigt ist, und sie zu kennen ist der Unterschied zwischen einer Verteidigung und einer beruhigenden Geschichte.

Der Kontrollserver ist ein öffentlicher, benannter Endpunkt. Jedes Gerät wählt ihn an, also braucht er einen Hostnamen — und dieser Hostname wird in dem Moment, in dem das Zertifikat ausgestellt wird, in Certificate-Transparency-Logs veröffentlicht. Er ist auffindbar, selbst wenn Sie nie darauf verlinken, und seine Adresse ist die eine Konstante, die alle Ihre Geräte gemeinsam haben. Nutzen Sie eine Subdomain eines Namens, den Sie bereits veröffentlichen, statt eines Namens, der beschreibt, wofür er da ist.

Headscale ist eine Neuimplementierung, und das sagt es auch selbst. Es wird weder von Tailscale gebaut noch unterstützt, die Funktionsparität ist konstruktionsbedingt unvollständig, und manches von dem, was das gehostete Produkt verkauft — die Weboberfläche, die öffentliche Relay-Flotte, die ausgefeilten Single-Sign-on-Wege — existiert hier entweder nicht oder ist ein Drittprojekt, das niemand geprüft hat. Lesen Sie in der Projektdokumentation nach, ob eine Funktion existiert, bevor Sie einen Plan darauf aufbauen, und behandeln Sie Upgrades als Aufgabe, nicht als Hintergrundprozess.

Die Standard-Relays gehören immer noch jemand anderem. Solange Sie den eingebetteten DERP-Server nicht aktivieren, fällt eine Verbindung, die nicht direkt zustande kommen kann, auf die öffentliche Relay-Flotte zurück. Die Nutzdaten sind weiterhin Ende-zu-Ende-verschlüsselt, und niemand kann sie lesen — aber die Tatsache, dass zwei Ihrer Geräte miteinander sprechen, und wie viel, durchläuft Infrastruktur, die Ihnen nicht gehört. Das ist der Teil der Vertrauenskette, den die meisten Menschen am ersten Nachmittag übersehen.

Ein Exit-Node ist eine stabile Adresse, keine Menschenmenge. Ihren Traffic über den eigenen VPS zu routen, schlägt das Café-Netzwerk und das ISP-Profil. Es schlägt keine Korrelation, denn diese Adresse gehört Ihnen allein und ändert sich nicht. Die geteilte Adresse eines kommerziellen VPN ist in jeder Hinsicht schlechter — außer in der einen, die für genau diese Bedrohung zählt.

Die Maschine steht immer noch in einem Gebäude. Ein gemieteter Server läuft auf Hardware in einem Rechenzentrum mit Türen und Personal. Was sich ändert: Es gibt keinen produktweiten Index Ihrer Geräte, keine Unternehmensdatenbank, die aufzeichnet, von wo aus sich jedes einzelne verbindet, und keine Datenschutzrichtlinie, die im nächsten Quartal geändert werden kann. Was sich nicht ändert: Die Festplatte ist physisch vorhanden, und sie steht nicht bei Ihnen zu Hause.

Was Sie tatsächlich gekauft haben, präzise formuliert: Die Liste jeder Maschine, die Sie besitzen, die Aufzeichnung, von wo aus sich jede einzelne verbindet, und die Befugnis, eine neue hinzuzufügen, liegen alle auf einer Maschine, die Sie unter keinem bestimmten Namen mieten. Das ist eine enge Behauptung, und es ist eine echte. Sie ist ihren Preis nur wert, wenn Schritt 06 erledigt ist — eine selbstgehostete Kontrollebene ohne getestete Wiederherstellung ist keine Verbesserung der Privatsphäre, sie ist ein Single Point of Failure mit besserem Branding.